DELIBERATION N 2014-146 DU 8 OCTOBRE 2014 DE LA COMMISSION DE CONTROLE DES INFORMATIONS NOMINATIVES PORTANT AUTORISATION A LA MISE EN ŒUVRE DU TRAITEMENT AUTOMATISE D INFORMATIONS NOMINATIVES AYANT POUR FINALITE «GESTION DE LA GEOLOCALISATION DES VEHICULES» PRESENTE PAR LA SARL MOBEE Vu la Constitution du 17 décembre 1962 ; Vu la Convention n 108 du Conseil de l Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ; Vu la Loi n 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ; Vu l Ordonnance Souveraine n 2.230 du 19 juin 2009 fixant les modalités d application de la Loi n 1.165 du 23 décembre 1993, susvisée ; Vu la déclaration déposée par la SARL MOBEE, concernant la mise en œuvre du traitement automatisé ayant pour finalité «Gestion des clients et de la facturation», et dont il a été délivré récépissé le 9 septembre 2014 ; Vu la délibération n 2014-124 du 17 septembre 2014 de la Commission de Contrôle des Informations Nominatives portant décision de fixer des délais de conservation des informations nominatives plus brefs que ceux prévus à la déclaration relative à la mise en œuvre du traitement automatisé d informations nominatives ayant pour finalité «Gestion des clients et de la facturation» présentée par la SARL MOBEE ; Vu la déclaration déposée par la SARL MOBEE, concernant la mise en œuvre du traitement automatisé ayant pour finalité «Gestion des contacts collectés via le site internet», et dont il a été délivré récépissé le 9 septembre 2014 ; Vu la délibération n 2014-125 du 17 septembre 2014 de la Commission de Contrôle des Informations Nominatives portant décision de fixer des délais de conservation des informations nominatives plus brefs que ceux prévus à la déclaration relative à la mise en œuvre du traitement automatisé d informations nominatives ayant pour finalité «Gestion des contacts collectés via le site internet» présentée par la MOBEE SARL ; Vu la demande d autorisation déposée par la SARL MOBEE le 11 août 2014 concernant la mise en œuvre d un traitement automatisé d informations nominatives ayant pour finalité «Gestion de la géolocalisation des véhicules» ; Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 8 octobre 2014 portant examen du traitement automatisé susvisé ; 1
La Commission de Contrôle des Informations Nominatives, Préambule La SARL MOBEE, immatriculée au RCI sous le numéro 14 S 06345, a notamment pour activité «Sur le territoire de la Principauté de Monaco : la conception, le financement, l acquisition, la location et la réalisation des installations, équipements et biens nécessaires à la mise en place d un service d automobiles électriques en auto-partage ; l exploitation, l entretien, la maintenance et le renouvellement de ces installations, équipements et biens nécessaires audit service d automobiles électriques en auto-partage ; la location de courte durée pour les clients du service d auto-partage». Afin d optimiser le service d auto-partage, la société souhaite installer un système de géolocalisation sur les véhicules. Le traitement objet de la présente demande est mis en œuvre à des fins de surveillance. Il relève donc du régime de l autorisation préalable visé à l article 11-1 de la loi n 1.165, modifiée. I. Sur la finalité et les fonctionnalités du traitement Le traitement a pour finalité «Gestion de la géolocalisation des véhicules». Les personnes concernées sont «les clients, les mandataires de commercialisation et partenaires de MOBEE». Les fonctionnalités sont les suivantes : - la «localisation des véhicules électriques disponibles uniquement à la location ; - la supervision de la disponibilité des véhicules (disponible, en charge, en maintenance) ; - l analyse des flux et reflux (trajets des véhicules en fonction des jours et horaires) afin d optimiser l emplacement et leur disponibilité géographique ; - la traçabilité des véhicules (heure et lieu de prise, heure et lieu de restitution) à des fins d analyse des pics d activité en fonction des plages horaire ; - l évolution des niveaux de charge de la batterie afin d optimiser les actions de maintenance» ; - «la facturation du client» ; - «l analyse d une location précise en cas de sinistre (vol ou accident, amendes) ; - l établissement de statistiques relativement au trajet et lieux (en aucun cas au travers de données nominatives)». La Commission considère que ce traitement a également pour fonctionnalité la constitution de preuves en cas d infractions (par un client, par un tiers ou en cas de vol du véhicule). Elle relève que certaines informations issues du présent traitement seront communiquées au traitement ayant pour finalité «Gestion des clients et de la facturation», susvisée. Elle constate que les exploitations envisagées répondent au principe de compatibilité des finalités posé à l article 10-1 de la loi n 1.165. Au vu de ces éléments, la Commission considère que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l article 10-1 de la loi n 1.165, susvisée. 2
II. Sur la licéité et la justification du traitement Le responsable de traitement indique que le traitement est justifié par la réalisation d un intérêt légitime, sans que soient méconnus les libertés et droits fondamentaux des personnes concernées. A cet égard, la Commission constate que ce système de géolocalisation concourt à la réalisation de plusieurs objectifs. En effet, il permet tout d abord au responsable de traitement d optimiser la gestion et l exploitation du service d auto-partage, notamment en connaissant en temps réel l état technique du véhicule et sa disponibilité. Il permet ensuite d opérer une surveillance en cas d infraction par un client, un tiers ou en cas de vol du véhicule. Les données de géolocalisation du véhicule permettent alors de retrouver le véhicule ou d être utilisées afin d identifier le client, par le biais de mises en relation avec le traitement ayant pour finalité «Gestion des clients et de la facturation», susvisé. Dans ce sens, le responsable de traitement indique que «la recherche d un véhicule utilisé dans le cadre d une location précisément identifiée pourra amener à identifier indirectement (via le numéro du véhicule, la carte sans contact) l identité du client ayant loué le véhicule ou bien du dernier client à l avoir utilisé». Ainsi, à la lumière de ces indications, la Commission rappelle que la protection des droits et libertés fondamentaux des personnes concernées par le présent traitement implique que le dispositif de géolocalisation des véhicules ne saurait conduire à un contrôle permanent, systématique et inopportun des utilisateurs. Sous cette réserve, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n 1.165, modifiée. III. Sur les informations nominatives traitées Les informations nominatives traitées sont : - identité : numéro de la carte sans contact (Badge ID) ; - données d identification électronique : login et mot de passe de l espace client ; - données de connexion : adresse IP, horodatage ; - données relatives à l utilisation des véhicules : trajet, véhicule (VIN), numéro de réservation (Book ID), date et lieu de prise (Position GPS ou GPRS), date et lieu de restitution, durée, niveau de charge de la batterie. La Commission considère que sont également collectés les logins et mots de passe des personnes habilitées. Elle relève que les informations précitées, particulièrement le «badge ID» et le «Book Id» sont des informations indirectement nominatives, au sens de l article 1 er de la loi n 1.165, susvisée. L information relative à l identité a pour origine le support de l abonné lors de l activation de la prise d un véhicule et le traitement ayant pour finalité «Gestion des clients et de la facturation», précité. 3
En effet, le numéro de la carte sans contact présenté lors de la prise d un véhicule est corrélé avec le fichier client afin de s assurer de la validité de la carte. Les informations concernant les données d identification ont pour origine le client ou les personnes habilitées. Les données de connexion proviennent du support de connexion de l usager (tablette, smartphone, ordinateur). Enfin, les données relatives à l utilisation des véhicules proviennent du système de géolocalisation des véhicules. Ainsi, la Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives», conformément aux dispositions de l article 10-1 de la loi n 1.165, modifiée. IV. Sur les droits des personnes concernées Sur l information des personnes concernées L information préalable des personnes concernées est effectuée par le biais d une mention sur le document de collecte et par les conditions générales d accès et d utilisation (CGUV) diffusées sur le(s) site(s) internet de vente en ligne de MOBEE (ex. http://www.mobee.tm.mc). A l analyse de ces documents, la Commission considère que les modalités d information préalable des personnes sont conformes aux dispositions de l article 14 de la loi dont s agit. Sur l exercice du droit d accès, de modification et de suppression Les droits d accès, de modification et de suppression s exercent par voie postale et par courrier électronique auprès de la SARL MOBEE. Le délai de réponse est de 30 jours. La Commission considère que les modalités d exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n 1.165, modifiée. V. Sur les destinataires et les personnes ayant accès au traitement Sur les destinataires Les informations collectées dans le cadre du traitement sont susceptibles d être communiquées à la Direction de la Sûreté Publique, sur réquisition. La Commission estime que la communication à la Direction de la Sûreté Publique peut être justifiée par les besoins d une enquête judiciaire. A cet égard, elle rappelle qu en cas de transmission, les services de police ne pourront être destinataires des informations nominatives traitées que dans le strict cadre des missions qui leur sont légalement conférées. Par ailleurs, en cas de litige, les assureurs de MOBEE, localisés en France sont également destinataires des informations traitées. 4
Enfin, la Compagnie des Autobus de Monaco (CAM) sera destinataire des données techniques non nominatives relatives à l utilisation des véhicules à des fins de maintenance et de jockeyage. La Commission considère que de telles transmissions sont conformes aux dispositions de l article 17-1 de la loi n 1.165, modifiée. Sur les personnes ayant accès au traitement Les personnes habilitées à avoir accès au traitement sont : - le personnel habilité de MOBEE, le responsable d exploitation et de l administration de la flotte : accès en consultation pour la géolocalisation et la disponibilité des véhicules ; le responsable de traitement précise que cet accès porte sur des données anonymes ; - le personnel habilité de la SODETREL, fournisseur du système d auto-partage : accès à l ensemble des données à des fins de mise à jour ou maintenance du système ; - le personnel habilité de la CAM : accès en consultation des données de géolocalisation de l ensemble de la flotte à des fins d entretien, d inscription des incidents et de descriptifs des travaux de maintenance ; le responsable de traitement précise que cet accès porte sur des données anonymes ; - le personnel habilité des partenaires de MOBEE (ex. hôtel) : accès en consultation et administration sur les seuls les véhicules mis à leur disposition et placés sous leur responsabilité ; chaque partenaire n a accès qu aux informations spécifiques à la flotte de véhicule mis à leur dispositions et aux identifiants des cartes sans contact qui leur ont été attribuées. Considérant les attributions de chacune de ces personnes et la finalité du traitement, les accès susvisés sont justifiés conformément aux dispositions légales. En ce qui concerne le prestataire, la Commission rappelle que conformément aux dispositions de l article 17 de la loi n 1.165, modifiée, ses droits d accès doivent être limités à ce qui est strictement nécessaire à l exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article. Elle rappelle enfin qu en application de l article 17-1 de la loi n 1.165, modifiée, la liste nominative des personnes ayant accès au traitement doit être tenue à jour, et doit pouvoir lui être communiquée à première réquisition. VI. Sur les interconnexions Ce traitement est interconnecté avec le traitement ayant pour finalité «Gestion des clients et de la facturation», précité légalement mis en œuvre, et, avec un traitement ayant pour finalité «Maintenance et Jockeyage». La Commission constate que le second traitement susmentionné n a fait l objet d aucune formalité auprès d elle. Elle demande donc à ce qu aucune interconnexion ou rapprochement ne soit effectué tant qu il n est pas légalement mis en œuvre au sens de la loi n 1.165 du 23 décembre 1993, modifiée. 5
VII. Sur la sécurité du traitement et des informations Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n appellent pas d observations. La Commission rappelle néanmoins que, conformément à l article 17 de la loi n 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l état de l art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d exploitation du présent traitement. VIII. Sur la durée de conservation Le responsable de traitement fait état des durées de conservations suivantes : - 3 mois après la fin de la relation contractuelle pour les informations relatives à l identité et aux données d identification électronique ; - 10 ans pour les données de connexions. S agissant plus particulièrement des données relatives à l utilisation des véhicules, la Commission observe la plus grande imprécision du responsable de traitement à leur égard. En effet, le formulaire de demande d autorisation précise que ces données sont conservées «3 mois après la fin de la relation contractuelle». Toutefois, les conditions générales y annexées, mentionnent que ces informations «seront rendues anonymes et archivées un an après la fin du contrat, pour quelque cause que ce soit». Enfin, le schéma des flux de données indique une durée de conservation de 10 ans «pour remonter à toute infraction au code de la route (prescription : 10 ans)». Aussi, la Commission rappelle qu aux termes de l article 10-1 de la loi n 1.165, susvisée, «les informations nominatives doivent être ( ) conservées sous une forme permettant l identification des personnes concernées pendant une durée n excédant pas celle nécessaire à la réalisation de la finalité pour laquelle elles sont collectées ou pour laquelle elles sont traitées ultérieurement». Sur la durée de conservation des données de connexion et des données d identification électroniques A l analyse des éléments fournis à la demande d avis, la Commission considère tout d abord que les données de connexions et les données d identification électroniques des abonnés sont des données techniques relatives aux communications électroniques émises par les clients en vue de l acheminement d une communication par un réseau de communications électroniques ; elles sont également utilisées par le responsable de traitement à des fins de sécurité des outils de communications. Par conséquent, ces données présentant un risque de porter atteinte à la vie privée des utilisateurs en permettant de tracer les habitudes et les comportements des internautes, elle estime que ces dernières doivent être supprimées après un délai de 3 mois à partir de leur collecte. 6
Sur la durée de conservation des données relatives à l utilisation des véhicules S agissant des données relatives à l utilisation des véhicules, la Commission considère que leur conservation sous une forme nominative n est pas déterminée par le responsable de traitement puisque, comme précédemment exposé, elle varie entre «3 mois après la fin de la relation contractuelle», «un an après la fin du contrat, pour quelque cause que ce soit», ou «10 ans pour remonter à toute infraction au code de la route». Elle relève que ces durées ouvrent la possibilité de retracer les utilisations, voire les trajets, des utilisateurs sur une période particulièrement longue, avec un risque de contrôle permanent et inopportun des personnes concernées. Elle précise que les durées de conservation des informations doivent tenir compte de la finalité du traitement, de leur utilité pour la réalisation de la finalité envisagée. Tenant compte de l intérêt de ces données en cas de nécessité d identifier l auteur d un délit routier lors de l utilisation des véhicules en libre-service MOBEE, elle décide de fixer leur durée de conservation sous la forme nominative à 3 ans à compter de la date de collecte, délai de prescription en matière délictuelle prévu à l article 13 du Code de procédure pénale. Elle précise par ailleurs que les accès auxdites données devront être strictement établis par le responsable de traitement, et que seul le gérant de l entreprise devra disposer d une habilitation permettant d avoir accès à ces informations dans l hypothèse précitée. Sur la durée de conservation des données relatives à l identité Le responsable de traitement indique conserver l information relative à l identité de l utilisateur du véhicule, c est-à-dire du numéro de carte sans contact, pendant «3 mois après la fin de la relation contractuelle». A l instar de ce qui précède, la Commission considère que cette durée de conservation est excessive au regard de la finalité du traitement. Elle relève qu une fois la facturation établie, et non contestée, le numéro de carte sans contact n a pas d utilité particulière au titre de la géolocalisation des véhicules. Toutefois, elle observe que cette information est nécessaire pour identifier la carte ayant activé le véhicule, objet des poursuites précédemment évoquées. En conséquence, elle considère que cette information pourra être conservée 3 ans à compter de la date de collecte, selon les mêmes conditions précisées précédemment pour les données relatives à l utilisation des véhicules. Pour conclure, la Commission précise qu il appartient au responsable de traitement de mettre en place des mesures techniques et organisationnelles permettant le fonctionnement des systèmes et applications informatiques qu il décide d exploiter dans le respect des dispositions de la loi n 1.165. 7
Après en avoir délibéré, la Commission Rappelle que : - la protection des droits et libertés fondamentaux des personnes concernées par le présent traitement implique que le dispositif de géolocalisation des véhicules ne permette pas un contrôle permanent, systématique et inopportun des utilisateurs des véhicules ; - aux termes de l article 10-1 de la loi n 1.165 «les informations nominatives doivent être ( ) conservées sous une forme permettant l identification des personnes concernées pendant une durée n excédant pas celle nécessaire à la réalisation de la finalité pour laquelle elles sont collectées ou pour laquelle elles sont traitées ultérieurement» ; - en cas de transmission aux services de police dans le cadre de procédure judiciaire, ces derniers ne pourront être destinataires des informations nominatives traitées que dans le strict cadre des missions qui leur sont légalement conférées ; - la liste nominative des personnes ayant accès au traitement devra être tenue à jour afin de lui être communiquée à première réquisition ; Demande que les interconnexions ou rapprochements envisagés avec un traitement ayant pour finalité «Maintenance et Jockeyage» ne soient effectués qu une fois ledit traitement mis en conformité avec les dispositions de la loi n 1.165, susvisée ; Fixe les durées de conservation des informations nominatives : - à 3 mois à compter de leur collecte pour les données de connexion et les données d identification électronique des abonnés/utilisateurs ; - à 3 ans à compter de leur collecte pour les données relatives à l utilisation des véhicules et à l identité ; Précise que - les données relatives à l utilisation des véhicules et à l identité pourront être utilisées à des fins de vérification d une facturation, en cas de contestation de celle-ci par un client, conformément à la déclaration effectuée par MOBEE concernant le traitement ayant pour finalité «Gestion des clients et de la facturation», susvisée ; - hors le cas précédent, ces données devront être traitées afin de garantir que seul le gérant de MOBEE pourra avoir accès aux informations à la seule fin 8
d identifier l auteur d un délit routier commis par un véhicule mis à disposition par MOBEE ; - il appartient au responsable de traitement de mettre en place des mesures techniques et organisationnelles permettant le fonctionnement des systèmes et applications informatiques qu il décide d exploiter dans le respect des dispositions de la loi n 1.165 ; A la condition de la prise en compte des demandes et précisions qui précèdent, La Commission de Contrôle des Informations Nominatives autorise la mise en œuvre, par la SARL MOBEE, du traitement automatisé d informations nominatives ayant pour finalité «Gestion de la géolocalisation des véhicules». Le Président, Guy MAGNAN 9